Malware PLOUTUS está de vuelta
El malware PLOUTUS que afecta a cajeros automáticos está de vuelta
El equipo de investigadores OCELOT del grupo MetabaseQ identificó en los últimos días una nueva variante del malware PLOUTUS (PLOUTUS-I), este malware está orientado a cajeros automáticos y la nueva variante fue identificada en América Latina. La primera variante se la identificó el 2013 y posteriormente se tiene registro de 3 variantes más, previas a esta nueva:
- 2013: PLOUTUS
- 2014: PLOUTUS SMS
- 2017: PLOUTUS-D
- 2018: PLOUTUS-D USA (Piolin)
Se evidenció que esta variante afecta a cajeros automáticos de la marca ITAUTEC y se tienen registros de ataques de grupos de ciberdelincuentes hacia estos cajeros.
Si deseas ver más detalles técnicos sobre cómo opera este malware sobre los cajeros automáticos te dejamos el enlace de MetabaseQ:
Acá te presentamos las recomendaciones realizadas por el equipo de OCELOT para encarar este malware presente en la región:
- Revisión periódica de los directorios activos en la lista blanca del antivirus, asegurándose de que no haya rutas de archivos desconocidos.
- Actualización automática del software que corre en el ATM (en caso de ser posible).
- Mantener actualizadas las firmas del antivirus.
- Realizar de manera correcta el cifrado del disco duro. Si bien son recomendaciones sencillas, es de suma importancia realizarlas correctamente, ya que una mala implementación podría permitir a atacantes interceptar las llaves del volumen guardadas en el chip de TPM a CPU, mientras pasan por el bus de SPI/I2C, entre otros ataques).
- Instalar cámaras cifradas de extremo a extremo de última generación, administradas centralmente con detección de manipulación, alertas de movimiento y detección facial.
- Llevar a cabo un Pentest periódico, el cual identifica vulnerabilidades y contramedidas en Hardware, XFS Middleware, Firmware y Software.
- Asegurarse de que el proveedor genere Indicadores de Ataque (IOA) e indicadores de Compromiso (IOC) durante este ejercicio para mejorar la detección y monitoreo de estos ataques.
- Poner alertas para eventos específicos dentro del Journal, Antivirus, Event Log o XFS Log para responder a estos ataques lo más pronto posible.
- Asegurarse que el proveedor entiende el formato utilizado por los Journals del ATM en cuestión y que pueda recomendarle el tipo de eventos a monitorear.
